{"partition": "head_middle", "source_domain": "lecercle.lesechos.fr", "digest": "sha1:U5QV23NPJRVL6OSHFPARMW7KU3DPLRBF", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00009.parquet"}
Page d'accueil Les Echos
Rechercher sur le cercle
Élections 2012
Économie& Société
Politique éco& Conjoncture
Politique économique
Monnaies & Taux
Relations sociales
Recherche& Innovation
Énergies& Environnement
Énergies classiques
Assos & Fondations
Recherche éco
Dossiersspéciaux
Bilan 2010
Journées de l'Eco
Les Economistesde Project Syndicate
Dominique Moïsi
Autres auteurs
Entreprises& Marchés
Finance & Marchés
Banques & Assurances
Énergies & Matières premières
High Tech & Médias
Informatiques
La Coulisse des marchés
Stage d'été
Social RH
Compta-finances
Développement Innovation
Le Cercle +
Les Echos Conférences
Vieuws
MyDsi-TV
universcienceTV
Bonnes feuilles
Entreprises & Marchés High Tech & Médias
Pascal Antonini et Fabrice Naftalski |
Internet |
Tribune |
Lu 2645 fois |
Cloud Computing et protection des données : mariage heureux ou liaisons dangereuses ?
LE CERCLE. Alors que les entreprises doivent aujourd’hui stocker et maîtriser une masse d’informations toujours plus importante, les offres de Cloud Computing se multiplient pour répondre à ce besoin, séduisant de plus en plus d’organisations prêtes à accueillir ce changement et surmonter leurs réticences initiales.
Écrit par
Pascal AntoniniAssociéEY (anciennement Ernst & Young)Voir sonprofil
Fabrice NaftalskiAvocat Associé EY (anciennement Ernst & Young)Voir sonprofil	Alors que les entreprises doivent aujourd’hui stocker et maîtriser une masse d’informations toujours plus importante, les offres de Cloud Computing se multiplient pour répondre à ce besoin, séduisant de plus en plus d’organisations prêtes à accueillir ce changement et surmonter leurs réticences initiales. Mais si plus de la moitié des grandes entreprises cotées en bourse sont déjà des adeptes du Cloud, la plupart des sociétés françaises n’ont pas encore franchi le pas. La complexité de la mise en œuvre de cette « informatique en nuage », mais surtout le flou qui subsiste sur l’étendue de son impact sur l’entreprise, freine le développement plus rapide de cette solution.
Si les avantages du Cloud sont en effet connus et largement communiqués dans l’argumentaire commercial des prestataires – agilité, flexibilité, réduction des coûts – , les entreprises sont encore peu sensibilisées et informées quant aux implications du Cloud en matière de protection des données.
Premiers pas : s’y retrouver dans le Cloud
Pour de nombreuses entreprises, la notion même de Cloud et ce qu’elle englobe est encore peu claire. Rappelons d’abord que le Cloud est un outil qui permet d’offrir différents modèles de services : infrastructure (IaaS), plateforme (PaaS) ou application (SaaS), selon les fonctions qui seront maintenues au sein de l’entreprise ou hébergées chez un fournisseur externe.
Quatre types de Cloud peuvent ensuite être identifiés, selon que leur usage est dédié au grand public ou réservé à la société, et que la gestion est externalisée chez un prestataire ou interne à l’entreprise. On distingue ainsi :
- le Cloud géré en interne et à usage privé : souvent une opportunité pour les grandes organisations de mutualiser leurs infrastructures IT et réduire les coûts ;
- le Cloud géré en externe et à usage privé (ou « cloud privé ») : solutions métiers « clés en main » offertes aux entreprises, hébergées sur l’infrastructure du fournisseur de service ;
- le Cloud géré en interne et à usage ouvert : l’organisation opère elle-même son Cloud en vue d’offrir des services au sein de son groupe ou à ses clients ;
- le Cloud géré en externe et à usage ouvert (ou « cloud public ») : il s’agit de services de stockage et d’applications web, accessibles via Internet, le plus souvent destinés au grand public.
Dans un paysage commercial qui évolue rapidement, l’entreprise doit donc définir laquelle de ces catégories est la plus adaptée à l’usage qu’elle entend faire du Cloud, ce qui implique d’avoir défini en amont ses besoins.
Besoins de l’entreprise : se poser les bonnes questions
Quel type de Cloud adopter, et pour quel usage ? Sur cette problématique générale, on remarque une maturation croissante : à mesure que les solutions Cloud sont mieux connues, que l’offre du secteur progresse, on ne crie plus systématiquement aux risques et les débats sont « dépassionnés ».
Il n’en reste pas moins que l’entreprise doit se poser les bonnes questions quant à ses besoins et ce, le plus en amont possible.
Avant de savoir quelles données migrer vers le Cloud, l’organisation doit être en mesure de les identifier et de les classer selon leur degré de sensibilité. S’agit-il de données relatives à la gestion des processus internes, à des « secrets » de fabrication, de fichiers clients, de données RH internes ? Quel serait l’impact pour l’entreprise si ces données étaient subitement indisponibles ou détruites, utilisées ou modifiées par une personne non autorisée, rendues publiques ?
Trois catégories de données peuvent par exemple être considérées :
- les données utilisées au quotidien dans les applications métiers
- les données stratégiques : propriété intellectuelle, informations financières, etc.
- les données à caractère personnel (au sens de la loi Informatique et Libertés* qui accorde en outre un niveau de protection renforcée aux données « sensibles »)
En mode Cloud ces données seront virtualisées, potentiellement éclatées dans différents data centers, mais aussi techniquement mutualisées. Sur le plan de l’objectif visé, l’entreprise doit donc se poser la question des coûts d’exploitation, ainsi que du niveau d’accessibilité et de flexibilité recherché. Sur le plan de la sécurité, elle doit pouvoir s’assurer de l’étanchéité entre les données et de la sécurisation globale des serveurs. Le risque est le même que lors d’un processus d’externalisation de certaines fonctions sensibles. Ce sont donc tous les niveaux de l’entreprise qui doivent être mobilisés pour évaluer le niveau de protection nécessaire, selon le type de données hébergées et leur localisation.
Cloud et protection des données : rien d’incompatible mais la vigilance est de mise
Une véritable démarche de « gouvernance de la protection des données » peut être mise en œuvre afin de réfléchir aux risques liés au Cloud. La plupart des fonctions de l’entreprise sont parties prenantes de cette gouvernance et doivent être impliquées : la Direction des systèmes d’information, naturellement, mais aussi des représentants de la Direction générale, des directions métiers, ainsi que les fonctions juridiques et /ou conformité, le Correspondant Informatique et Libertés si l’organisation en a désigné un**, d’audit interne et de gestion des risques. De manière collégiale, elles statueront sur le niveau de criticité des données et sur la possibilité de faire migrer celles-ci dans le Cloud en minimisant les risques.
A ce comité stratégique d’évaluer le niveau de risque que l’entreprise souhaite/peut prendre, en gardant à l’esprit que certains risques ne sont tout simplement pas envisageables ! A commencer par ceux qui peuvent potentiellement impliquer des sanctions administratives, pénales, ainsi qu’un lourd dommage réputationnel. On touche là à la loi Informatique & Libertés, au titre de laquelle plusieurs données « sensibles » à caractère personnel sont sanctuarisées. Dans la démarche de protection des données, il y a donc un volet stratégique indéniable mais aussi une implication réglementaire.
Le Cloud présente ainsi des défis majeurs pour les juristes d’entreprises soucieux de protéger les données : encadrer des activités faisant l’objet de contrats multiples, parfois dans différents pays ; sécuriser la potentielle chaîne de contrats, ce qui oblige d’imposer sa gouvernance au co-contractant à charge pour ce dernier de la décliner auprès de ses propres sous-traitants, afin d’assurer sécurité, contrôle et traçabilité ; considérer une option de réversibilité en cas de non-respect des dispositions du contrat ou autres hypothèses de sortie …
Des obstacles réglementaires doivent également être pris en compte : le principe d’interdiction de transfert des données en-dehors de l’Espace économique européen, par exemple, implique dans la plupart des cas un encadrement contractuel spécifique et une autorisation de la CNIL.
Dans ce contexte, les entreprises pourraient être tentées de contourner le problème en adoptant un Cloud national ou européen. Un choix qui ne va cependant pas de soi, alors que des solutions souvent très rentables se développent au Maghreb pour les entreprises francophones, ou en Asie pour les anglophones. Il existe en revanche des outils pour limiter au maximum la prise de risque, qu’ils soient techniques (méthodes de chiffrement par exemple) ou juridiques et contractuels (comme les Binding Corporate Rules qui encadrent l’ensemble des transferts de données personnelles au sein d’un groupe et qui peuvent être désormais mis en place par les prestataires de cloud pour les données de leurs propres clients).
La protection des données dans le Cloud est un sujet de plus en plus mature, du côté des professionnels du secteur comme de leurs clients. Les prestataires sont davantage sensibilisés au sujet du transfert des données, afin d’éviter de mettre leurs clients en porte-à-faux sur le plan réglementaire. Leurs pratiques en matière de sécurité et traçabilité sont plus rigoureuses. De leur côté, les clients exigent de plus en plus de reporting en matière de contrôle interne.
Il faudra regarder vers les instances législatives européennes pour anticiper les prochaines évolutions du secteur. Le projet de règlement de la Commission européenne en cours de discussion, ayant notamment pour objectif d'adapter la directive de protection des données personnelles de 1995 au nouvel environnement numérique, renforce les obligations des organisations en matière de sécurité des données mais aussi de maintenance de la conformité au quotidien avec les nouveaux principes de minimisation des données, d’accountability, de droit à l’oubli et de portabilité des données directement applicables aux prestataires de cloud. Autant d’innovations, qui viendront certainement bousculer les usages que les entreprises pourront et devront à l’avenir faire du Cloud.
* « Une donnée personnelle est toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un nom, un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. [Ces éléments sont notamment physiques, biométriques, physiologiques, psychiques, économiques, culturels ou sociaux]. »
**Sa désignation est facultative aujourd’hui en France, mais va devenir obligatoire pour la majorité des organisations à l’aune du projet de règlement sur la protection des données personnelles en cours de discussion devant les instances communautaires
À lire également
Nicolas Dehorter
Le crowdfunding : un souffle d'optimisme mais attention au mirage Allexandre Grellier
Après le scandale PRISM, comment protéger les données confidentielles des entreprises ? Didier Julienne
Nickel de Nouvelle Calédonie : Prony-Pernod et vision commune Jacques Bichot
La finance anonyme est une catastrophe Se connecter pour ajouter un commentaire
ADRESSE EMAIL: *
Mot de passe: *
Publiez vos articles
Le Cercle Les Echos sur Twitter
Tweets de @CercleLesEchos
Aujourd'hui, les articles les plus...
…lus …commentés Robin Sappe |
Tendances-innovation|
Priorité à l’intelligence collective pour accélérer l’innovation Philippe Détrie |
RH|
Aujourd’hui, qui veut être manager ? Hubert de Vauplane |
Finances|
Le déclin de la Place financière de Paris ou chronique d’une mort programmée Françoise Dissaux Doutriaux |
Social RH|
Tribune De l’utilité des tests de personnalité dans le recrutement Laetitia |
Informatiques|
Les COOCs ou MOOCs Corporate, nouveau cheval de Troie de la formation en entreprise ? Pascal Ordonneau |
Etude |
Les « Modèles Imaginaires » coûtent cher à la France! 2/2 Colbert |
Politique économique|
Comment l'État français devrait privatiser ? Jean-Luc Baslé |
Vie politique|
Porte-hélicoptères russes et Rafale indiens Jean Robert |
Les raisons de la colère Alexis Kummetat |
Diversité|
Les réservistes militaires : un bien curieux bestiaire Abonnez-vous au flux RSS Suivez-nous avec Twitter Plan du site
PolitiqueÉlections 2012
Économie & SociétéPolitique éco & Conjoncture
Recherche & Innovation
Énergies & Environnement
Les Economistes de Project SyndicateJoseph E. Stiglitz
Entreprises & MarchésFinance & Marchés
EntrepreneurCréation d'entreprise
Le Cercle +Vidéos
Le Cercle Les Echos
C.G.U/C.G.V
Enjeux Les Echos
Les Echos Entrepreneur
Bilansgratuits
Eurostaf
Salon des Entrepreneurs
Les Echos de la Franchise
L'Institut Les Echos
Les Echos Formation
Série limitée
Les Echos ePaper
LeCrible.fr
Radio Classique
Connaissance des Arts
La Fugue